[論文レビュー] A Systematic Study of Lattice-based NIST PQC Algorithms: from Reference Implementations to Hardware Accelerators

Malik Imran, Zain Ul Abideen+1 more|arXiv (Cornell University)|Sep 15, 2020

Cryptography and Data Security参考文献 15被引用数 6

ひとこと要約

本稿は、12種類の格子ベースのNIST後量子暗号(PQC)アルゴリズムについて、65nmプロセスを用い500MHzで動作するASICアクセラレータとして実装した際の面積、消費電力、リソース要件を体系的にハードウェア分析している。主な構成部品として乗算器、メモリ、ハッシュ化ユニットを特定し、詳細な面積および消費電力推定値を提示しており、高い周波数および高いセキュリティレベルを想定しているにもかかわらず、最先端の結果と同等の性能を示している。

ABSTRACT

Security of currently deployed public key cryptography algorithms is foreseen to be vulnerable against quantum computer attacks. Hence, a community effort exists to develop post-quantum cryptography (PQC) algorithms, i.e., algorithms that are resistant to quantum attacks. In this work, we have investigated how lattice-based candidate algorithms from the NIST PQC standardization competition fare when conceived as hardware accelerators. To achieve this, we have assessed the reference implementations of selected algorithms with the goal of identifying what are their basic building blocks. We assume the hardware accelerators will be implemented in application specific integrated circuit (ASIC) and the targeted technology in our experiments is a commercial 65nm node. In order to estimate the characteristics of each algorithm, we have assessed their memory requirements, use of multipliers, and how each algorithm employs hashing functions. Furthermore, for these building blocks, we have collected area and power figures for 12 candidate algorithms. For memories, we make use of a commercial memory compiler. For logic, we make use of a standard cell library. In order to compare the candidate algorithms fairly, we select a reference frequency of operation of 500MHz. Our results reveal that our area and power numbers are comparable to the state of the art, despite targeting a higher frequency of operation and a higher security level in our experiments. The comprehensive investigation of lattice-based NIST PQC algorithms performed in this paper can be used for guiding ASIC designers when selecting an appropriate algorithm while respecting requirements and design constraints.

研究の動機と目的

• 格子ベースのNIST PQCアルゴリズムがASICアクセラレータとして実装可能かどうかを評価すること。
• 12種類のNIST PQC候補において、コアとなる計算部品（乗算器、メモリ、ハッシュ化）を特定・特徴づけること。
• 500MHzで動作する65nmプロセスノードを用いたASIC実装における正確な面積および消費電力推定値を提供すること。
• ハードウェア効率および設計制約を考慮した上で、ASIC設計者が最適なPQCアルゴリズムを選択できるように支援すること。
• 周波数、セキュリティレベル、プロセスノードといったパラメータを標準化することで、PQC候補同士の公平な比較を可能にすること。

提案手法

• 12種類の格子ベースのNIST PQCアルゴリズムのC/C++リファレンス実装から算術演算を抽出した。
• パrameterが異なる50以上のROMおよびRAMインスタンスを生成するために商用メモリコンパイラーを用いた。
• 標準セルライブラリを用いて、500MHz動作を65nmプロセスで達成するように乗算器およびハッシュコアを合成した。
• 各アルゴリズムのコア部品について、論理合成後の面積および消費電力を測定した。
• qTesla向けに、8桁および16桁のセグメント化された乗算器設計を評価し、面積および消費電力を低減した。
• 先行研究との比較を通じて、推定値の正確性を検証し、実装選択による差異を明らかにした。

実験結果

リサーチクエスチョン

• RQ1 65nmプロセス、500MHzで動作するASICアクセラレータとして実装した場合、格子ベースのNIST PQCアルゴリズムの面積および消費電力要件は、どのように比較されるか？
• RQ2 PQCハードウェアアクセラレータにおいて、リソース消費を支配する主な部品（乗算器、メモリ、ハッシュ化）はどれか？
• RQ3 セグメント化された乗算器設計は、高精度なPQC演算において、面積および消費電力をどの程度低減できるか？
• RQ4 本研究の推定値は、既存のハードウェア実装と比較して、面積および消費電力効率においてどのように異なるか？
• RQ5 ASICにNIST PQCアルゴリズムを実装する際の主なハードウェア的ボトルネックと最適化の機会は何か？

主な発見

• 本稿で推定した12アルゴリズムすべての面積および消費電力の数値は、高い周波数（500MHz）および高いセキュリティレベルを想定しているにもかかわらず、最先端の結果と同等である。
• qTesla（16384×16384）において、セグメント化された乗算器は、フル幅の乗算器と比較して面積を39％、消費電力を719％削減した。これは、顕著な最適化の可能性を示している。
• セグメント化された乗算器の使用は、他のアルゴリズムにおいてもセグメント数を増やすことで消費電力を低減可能であり、エネルギー削減の有効な道筋である。
• 多くのアルゴリズムにおいて、本研究の推定値は先行研究（例：[26, 27]）よりも低く、主に「グルー論理」を除外し、コア構成部品に限定して分析したためである。
• 本研究の消費電力値は[26, 27]よりも高いが、これは高レベル合成（HLS）を用い、ループされたC/C++乗算器を採用したためであり、最適化されたデジットシリアル実装と比較して消費電力が増加している。
• 分析から、乗算器が最もリソースを消費するコンponentであることが判明し、PQCアクセラレータにおけるハードウェア最適化の主なターゲットであることが示された。